Một thành viên của băng nhóm ransomware Conti đã bị kết án bốn năm tù sau khi thừa nhận vai trò trong một trong những chiến dịch ransomware-as-a-service khét tiếng nhất đầu thập niên 2020. Vụ án mang đến cái nhìn chi tiết về cách các chiến dịch tống tiền kép thực sự được vận hành phía sau hậu trường, và là lời nhắc nhở rằng phòng thủ trước ransomware đòi hỏi nhiều hơn một công cụ bảo mật duy nhất.

Thành viên Conti đã thừa nhận làm gì

Theo lời khai tại tòa, cá nhân này đã tham gia vào hoạt động của Conti và đảm nhận vai trò trực tiếp trong quy trình tấn công của nhóm. Anh ta quản lý dữ liệu bị đánh cắp từ tám nạn nhân tại Hoa Kỳ và bốn nạn nhân quốc tế, đồng thời chịu trách nhiệm phân phối các thư đòi tiền chuộc trong các cuộc tấn công tống tiền kép được thực hiện từ năm 2020 đến tháng 6 năm 2022. Anh ta cũng làm việc trong một nhóm nhỏ hơn do một thành viên Conti khác lãnh đạo, nơi đóng góp kỹ thuật cụ thể của anh là phát triển một phần mềm độc hại "loader". Công cụ này được thiết kế để giúp triển khai phần mềm tấn công của nhóm lên mạng lưới nạn nhân, thực chất đóng vai trò là cơ chế phát tán mở đường cho chính payload ransomware.

Sự phân chia trách nhiệm này — xử lý dữ liệu, phân phối thư đòi tiền chuộc và phát triển phần mềm độc hại — cho thấy rằng các băng nhóm ransomware như Conti hoạt động với kiểu phân công lao động nội bộ thường gắn với các đội phần mềm hợp pháp. Các thành viên khác nhau chuyên về những giai đoạn khác nhau của chuỗi tấn công, từ công cụ truy cập ban đầu đến liên lạc đàm phán.

Các cuộc tấn công ransomware tống tiền kép thực sự diễn ra như thế nào

Tống tiền kép là chiến thuật trung tâm của vụ án này, và nó giải thích vì sao ransomware vẫn là mối đe dọa dai dẳng đối với các tổ chức ở mọi quy mô. Trong một cuộc tấn công ransomware truyền thống, tội phạm chỉ đơn giản mã hóa các tệp của nạn nhân và đòi tiền để đổi lấy khóa giải mã. Tống tiền kép thêm một lớp áp lực thứ hai: trước khi mã hóa bất cứ thứ gì, kẻ tấn công trước tiên trích xuất, hay đánh cắp, dữ liệu nhạy cảm từ hệ thống của nạn nhân.

Sau khi dữ liệu bị mã hóa, nạn nhân phải đối mặt với hai mối đe dọa riêng biệt thay vì một. Họ được yêu cầu trả tiền để lấy khóa giải mã nhằm khôi phục quyền truy cập vào hệ thống của chính mình, và đồng thời bị đe dọa công khai hoặc bán dữ liệu bị đánh cắp nếu không thực hiện khoản thanh toán thứ hai. Đây chính xác là cấu trúc được mô tả trong lời thừa nhận của thành viên Conti: anh ta không chỉ tham gia vào việc khóa hệ thống, mà còn quản lý chính dữ liệu bị đánh cắp và chuyển các yêu cầu tiền chuộc gắn với dữ liệu đó. Chính mối đe dọa kép này khiến tống tiền kép trở nên hiệu quả và tàn phá đến vậy, bởi ngay cả những tổ chức có phương án sao lưu và khôi phục vững chắc vẫn phải đối mặt với nguy cơ rò rỉ dữ liệu nghiêm trọng.

Di sản của Conti: Vì sao băng nhóm này quan trọng trong bối cảnh ransomware

Conti trở thành một trong những chiến dịch ransomware hoạt động tích cực nhất và bị theo dõi sát sao nhất trong thời gian tồn tại, nhắm vào cả các tổ chức Hoa Kỳ lẫn nạn nhân ở nước ngoài bằng mô hình tống tiền kép được mô tả trong vụ án này. Cấu trúc của nhóm, với các thành viên chuyên biệt phụ trách những phần khác nhau của cuộc tấn công từ phát triển phần mềm độc hại đến quản lý dữ liệu và liên lạc đòi tiền chuộc, khiến nó giống một doanh nghiệp tội phạm hơn là một nhóm hacker được tổ chức lỏng lẻo.

Bản án này là một mảnh ghép nhỏ trong nỗ lực rộng lớn hơn của cơ quan thực thi pháp luật nhằm buộc từng cá nhân tham gia Conti phải chịu trách nhiệm, ngay cả nhiều năm sau giai đoạn hoạt động mạnh nhất của nhóm. Nó cũng nhấn mạnh rằng các chiến dịch ransomware dựa vào nhiều người đóng góp thực hiện những nhiệm vụ hẹp và chuyên biệt, nghĩa là việc triệt phá những nhóm này thường đòi hỏi xác định và truy tố nhiều cá nhân thay vì một kẻ chủ mưu duy nhất.

Phòng thủ thực tiễn: Sao lưu, phân đoạn và vai trò của VPN

Vì tống tiền kép kết hợp đánh cắp dữ liệu với mã hóa, không có công cụ đơn lẻ nào có thể bảo vệ hoàn toàn trước nó. Các tổ chức và cá nhân cần phòng thủ nhiều lớp nhằm giải quyết cả hai nửa của mối đe dọa.

Sao lưu thường xuyên và đã được kiểm tra vẫn là yếu tố thiết yếu để khôi phục hệ thống bị mã hóa mà không phải trả tiền chuộc, nhưng sao lưu một mình không làm gì để ngăn dữ liệu bị đánh cắp bị rò rỉ. Phân đoạn mạng, giới hạn mức độ di chuyển của kẻ tấn công sau khi chúng có được chỗ đứng, giúp ngăn chặn xâm nhập trước khi chúng tiếp cận các kho dữ liệu nhạy cảm. Kiểm soát truy cập mạnh mẽ và giám sát các luồng truyền dữ liệu bất thường có thể phát hiện các nỗ lực trích xuất dữ liệu trước khi khối lượng lớn thông tin rời khỏi mạng lưới.

VPN đóng vai trò hỗ trợ trong bức tranh này. Mã hóa lưu lượng và bảo vệ các điểm truy cập từ xa có thể giảm nguy cơ đánh cắp thông tin đăng nhập hoặc chặn kết nối, vốn là những điểm xâm nhập phổ biến của các nhóm ransomware. Nhưng VPN không thay thế cho chiến lược sao lưu, phân đoạn hay giám sát dữ liệu. Nó là một lớp trong số nhiều lớp, không phải lá chắn độc lập trước một mô hình tấn công được xây dựng để đe dọa nạn nhân hai lần.

Điều này có ý nghĩa gì với bạn

Với hầu hết độc giả, vụ án này không nằm ở bản án cụ thể mà ở điều nó tiết lộ: các nhóm ransomware coi trọng việc đánh cắp dữ liệu ngang bằng — đôi khi hơn cả — việc mã hóa. Mô hình tương tự cũng xuất hiện trong các sự cố rò rỉ dữ liệu quy mô lớn khác, bao gồm vụ rò rỉ dữ liệu nhà ngoại giao Hàn Quốc gần đây, nơi các hồ sơ bị xâm phạm tạo ra rủi ro độc lập với bất kỳ yêu cầu tiền chuộc nào. Dù mối đe dọa đến từ một băng nhóm ransomware có tổ chức hay một vụ rò rỉ dữ liệu đơn thuần, bài học cốt lõi vẫn như nhau: bảo vệ dữ liệu trước khi nó bị đánh cắp quan trọng không kém việc khôi phục hệ thống sau một cuộc tấn công.

Những điểm chính cần ghi nhớ

Các tổ chức nên ưu tiên sao lưu ngoại tuyến hoặc bất biến mà ransomware không thể chạm tới, phân đoạn mạng để một tài khoản bị xâm phạm không làm lộ toàn bộ hệ thống, và giám sát các luồng truyền dữ liệu ra ngoài bất thường có thể báo hiệu quá trình trích xuất dữ liệu đang diễn ra. Cá nhân nên thận trọng với thông tin đăng nhập và công cụ truy cập từ xa, vì thông tin đăng nhập bị đánh cắp vẫn là một trong những cách phổ biến nhất để kẻ tấn công có được quyền truy cập ban đầu. Hiểu rõ chiến thuật tống tiền kép của Conti ransomware, như được trình bày trong bản án này, là điểm khởi đầu hữu ích để xây dựng các biện pháp phòng thủ giải quyết đồng thời cả mối đe dọa mã hóa lẫn mối đe dọa rò rỉ dữ liệu.